Saltar al contenido

Política de privacidad

Última actualización: 12 de octubre de 2026 · Versión 2026-10-12 · Read in English

Política de la beta. BoriQR está en beta privada. Un abogado de Puerto Rico revisará esta política antes de que comience el servicio pagado; si cambia, te pediremos aceptar la nueva versión.

1. Resumen

BoriQR guarda lo necesario para que tu catálogo funcione y para cobrar la suscripción. No vendemos datos, no mostramos anuncios y no usamos analítica ni cookies de rastreo.

2. A quién aplica

BoriQR (bori-qr.com) decide cómo se usan los datos descritos aquí. Esta política aplica a los dueños de negocios que usan el panel y a las personas que visitan un catálogo.

3. Datos de los dueños de negocios

  • Cuenta: al iniciar sesión con Google, Auth0 recibe de Google tu nombre, tu correo electrónico, tu foto de perfil y el identificador de tu cuenta. BoriQR guarda ese identificador y tu correo. Tu nombre solo se muestra en el panel mientras tu sesión está abierta.
  • Negocio y catálogo: lo que escribes en el panel, como nombre, descripción, horario, dirección, teléfono, correo de contacto, categorías, productos, precios, etiquetas y ofertas.
  • Fotos y logo: convertimos cada imagen a WebP en tres tamaños. Las versiones procesadas no guardan los metadatos de la foto original, como la ubicación. La imagen original que sube tu navegador se borra en un plazo de dos días.
  • Facturación: Stripe recibe tu correo, el identificador de tu cuenta y el nombre y enlace del negocio, y al pagar recibe tu tarjeta, tu nombre y tu dirección de facturación. BoriQR guarda solo los identificadores de cliente y de suscripción de Stripe, el estado de la suscripción y su fecha de cancelación. Nunca vemos ni guardamos el número de tu tarjeta.
  • Aceptación de los términos: cuando aceptas los términos y esta política guardamos el identificador de tu cuenta y tu correo en ese momento; el negocio (identificador y enlace); si fue al crear o al reactivar; las versiones de los términos, de esta política, del aviso de compra y del texto de la casilla; una huella SHA-256 del texto exacto de cada documento; el idioma en que los viste; un identificador del intento, y la fecha y hora (UTC). Este registro no guarda tu dirección IP ni tu navegador.
  • Subidas de fotos: tu navegador envía cada foto directamente a nuestro almacenamiento en AWS. El registro de auditoría de AWS (CloudTrail) anota cada subida con la dirección IP y el navegador desde donde se hizo.
  • Mensajes: si nos escribes, guardamos tu mensaje en nuestro correo electrónico, que ofrece Google.

4. Datos de quienes visitan un catálogo

Ver un catálogo no requiere cuenta y no crea cookies. Tu navegador recuerda el idioma que eliges. Los registros de nuestra aplicación anotan errores y eventos, como el enlace del negocio, sin tu dirección IP. Para detectar abuso, el cortafuegos de AWS guarda una muestra de solicitudes, con dirección IP y navegador, por hasta 3 horas.

5. Para qué usamos los datos

  • Mostrar tu catálogo y permitirte editarlo.
  • Iniciar tu sesión y proteger tu cuenta.
  • Cobrar la suscripción y calcular impuestos.
  • Prevenir abuso, investigar fallas y mantener los costos bajo control.
  • Probar que aceptaste los términos, por ejemplo ante una disputa de un cobro.
  • Cumplir con la ley.

No vendemos ni alquilamos datos, ni los usamos para publicidad.

6. Cookies y almacenamiento del navegador

  • __session: cookie de Auth0 que mantiene tu sesión. Está cifrada y no se puede leer desde JavaScript. Dura hasta 3 días, o 1 día sin actividad.
  • __txn_: cookie temporal mientras inicias sesión.
  • boriqr:draft:<enlace> (localStorage): el borrador de tu catálogo en este navegador, para que no pierdas cambios sin publicar. Se queda en el navegador hasta que borres los datos del sitio.
  • boriqr:business-setup:<correo> (sessionStorage): lo que llevas escrito al crear un negocio. Se borra al cerrar la pestaña.
  • past-due-dismissed:<enlace> (sessionStorage): recuerda que cerraste el aviso de pago pendiente. Se borra al cerrar la pestaña.
  • boriqr-lang (localStorage): el idioma que eliges en un catálogo.

No usamos cookies de analítica, de publicidad ni de rastreo. Las fuentes se sirven desde nuestro propio sitio. Stripe usa sus propias cookies en sus páginas de pago y de facturación.

7. Dónde se guardan

En Amazon Web Services (AWS), región us-east-1 (Virginia, Estados Unidos): la base de datos (DynamoDB), las fotos (S3), los registros (CloudWatch) y el registro de auditoría (CloudTrail). El sitio y las fotos publicadas se entregan por AWS CloudFront, que guarda copias temporales en servidores de distintos países. Nuestros proveedores pueden procesar datos fuera de Puerto Rico.

8. Proveedores

  • Amazon Web Services: alojamiento, base de datos, fotos, registros y protección contra abuso.
  • Auth0 (Okta): inicio de sesión.
  • Google: la cuenta con la que inicias sesión, y el correo y los documentos donde guardamos tus mensajes y el registro de tus solicitudes.
  • Stripe: pagos, facturación e impuestos.

Cada proveedor tiene su propia política de privacidad. Solo compartimos lo necesario para su función. También podemos revelar datos si una ley o una orden judicial válida lo exige.

9. Cuánto tiempo los guardamos

  • Cuenta, negocio y catálogo: mientras exista la cuenta. Cancelar no borra nada; se borran cuando lo pides.
  • Fotos publicadas: mientras estén en el catálogo. Fotos reemplazadas o quitadas por ti: hasta 60 días.
  • Fotos de un negocio cancelado: se retiran del público y se guardan para una reactivación hasta que pidas borrarlas.
  • Fotos removidas por un reporte: hasta que se restauren o se borre el negocio.
  • Fotos subidas que nunca publicaste: hasta que se borre el negocio. Planeamos que se borren solas después de un tiempo.
  • Registro de aceptación de los términos: mientras exista la cuenta y hasta 2 años después de borrarla, como prueba ante disputas y reclamaciones de cobros.
  • Registros de la aplicación: 30 días. Muestras del cortafuegos: hasta 3 horas. Registro de auditoría de AWS, que incluye la dirección IP de las subidas de fotos: 400 días.
  • Copias de respaldo de la base de datos: 35 días. Versiones anteriores de las fotos: 30 días.
  • Datos técnicos temporales (pases de subida, cuotas diarias y avisos de Stripe ya procesados): se borran solos en un plazo de 1 a 30 días.
  • Mensajes que nos envías y el registro privado de cada solicitud: mientras sean necesarios para atender la solicitud, y como máximo 2 años.
  • Stripe conserva los registros de pago según sus obligaciones, aun después de que borremos tu cuenta.

10. Tus derechos y cómo pedir algo

  • Ver y editar: todo lo de tu negocio está en tu panel.
  • Corregir: si no puedes hacerlo tú, por ejemplo porque tu suscripción terminó, lo corregimos por ti: el nombre, la descripción, la dirección, el teléfono y el correo del negocio, y el correo de tu cuenta. Tu nombre y tu foto de Google se cambian en Google; el correo de tus recibos, en el portal de facturación de Stripe.
  • Borrar: puedes pedir que borremos un negocio o toda tu cuenta. Cancelamos la suscripción sin reembolso automático y borramos los datos y las fotos de inmediato. Si borramos toda tu cuenta, también borramos a mano tu usuario de Auth0. Las copias de respaldo y las versiones anteriores desaparecen en un plazo de 35 días, y los registros de la aplicación y de auditoría vencen según los plazos de la sección 9. Stripe conserva los registros de pago. Conservamos el registro de aceptación de los términos por 2 años más, como prueba ante disputas de cobros. Te diremos cómo borrar los borradores guardados en tu navegador.

Para pedirlo, escribe a mathcelopr@gmail.com desde el correo de Google de tu cuenta. Si escribes desde otra dirección, te pediremos que escribas desde esa. Antes de borrar algo, te enviaremos una confirmación a ese correo y esperaremos tu respuesta. Guardamos un registro privado de cada solicitud y de lo que hicimos. Respondemos en un plazo de 30 días.

11. Menores de edad

BoriQR no está dirigido a menores de 18 años y no recopilamos a sabiendas datos de menores. Si descubrimos que un menor creó una cuenta, la borraremos.

12. Seguridad

Las conexiones están cifradas (HTTPS) y los datos están cifrados en nuestros servidores. Solo operadores autorizados tienen acceso administrativo. Verificamos la firma de cada aviso de Stripe y validamos cada imagen que se sube.

13. Si hay una brecha de seguridad

Si detectamos que alguien accedió sin autorización a tus datos personales, te avisaremos lo antes posible y, como exige la Ley 111-2005 de Puerto Rico, informaremos al Departamento de Asuntos del Consumidor (DACO) en un plazo de 10 días desde que lo detectemos. Te diremos qué pasó, qué datos se afectaron y qué puedes hacer.

14. Cambios a esta política

Cada versión se identifica por su fecha. Cuando cambiemos esta política, publicaremos la versión nueva en esta página y te pediremos aceptarla la próxima vez que crees o reactives un negocio. Si el cambio es importante, también te avisaremos por correo electrónico. Las versiones anteriores siguen disponibles en esta página.

15. Contacto

Para preguntas sobre privacidad o para hacer una solicitud, escribe a mathcelopr@gmail.com.